Epoch AI 在 2026 年 10 月 30 日公开的实验总结中说，智谱 8 月发布的开源权重模型 GLM 5.3，能够利用已经公开、但还没有推送到用户手里的安全补丁，自主构造针对 Firefox 的攻击。模型生成的网页只需被访问一次，就能读取访问者电脑上的文件并发送给攻击者，不需要访问者再点任何东西。Epoch AI 指出，这类攻击可能被用来读取密码、窃取登录凭证或查看私人文件。
补丁窗口是怎么被利用的
补丁窗口指修复代码已公开、用户尚未收到更新的这段时间，Firefox 的修复常先出现在测试版或夜间构建里。Epoch AI 只给模型目标版本号、基础工具和发布时已经公开的信息，让模型自己在公开代码里分辨哪些改动属于安全修复，再挑选漏洞、拼出多阶段攻击链。实验覆盖了 2026 年 9 月 17 日至 10 月 26 日发布的六个 Firefox 版本，全部被攻破：模型先通过一处内存安全缺陷拿到浏览器内的读写能力，又在防护挡住目标文件后继续组合多个阶段，最终只靠访问网页就完成了文件读取。
一千美元背后的两个前提
成本数字需要放在两个前提下理解。Epoch AI 披露的总花费超过 10 万美元，包括搭建离线实验环境和前期测试；环境搭好之后，攻破一个新版本平均约 1,000 美元，单次尝试最快 12 小时、上限 48 小时。每次成功攻击都串联了两处漏洞：一处来自补丁窗口，另一处是模型反复重新发现的未公开漏洞，后者帮攻击绕过了沙箱限制。这处未公开漏洞已告知 Mozilla，Firefox 159.0 已在 10 月 27 日发布并修补了它，针对 159.0 能否复现尚未确认。实验全程没有任何模型提供方触发防护或拒绝，包括 Z.ai 在内。用同样的方法攻击 Chrome 则没有成功，Epoch AI 认为这不能证明 Chrome 不会被类似方法攻破。
对用户和厂商意味着什么
对普通用户来说，最直接的动作仍然是尽快更新到 Firefox 159.0，并打开自动更新。对厂商来说，修复代码一旦公开，就等于告诉攻击者漏洞在哪里。Epoch AI 建议：修复备好发布前先保密、加快测试版到正式版的推送、避免把可串联的漏洞放在同一批修复里。Firefox 和 Chrome 目前都改为每周发布更新，但模型在两天内就能造出可用的攻击链，更快的节奏未必足够，更新更慢的路由器固件和手机操作系统风险更大。Epoch AI 同时说明，这项研究只证明开源模型已经具备这类进攻能力，并不对攻防双方的整体平衡下结论。
